Audit di sicurezza informatica: cos'è e come si fa

Un audit di sicurezza informatica è una verifica sistematica, indipendente e documentata che confronta come l'azienda gestisce davvero la sicurezza di sistemi, dati e processi con un insieme di criteri dichiarati prima di iniziare: una norma come la ISO/IEC 27001, un obbligo di legge come la NIS2, un requisito di un cliente o una policy interna. Si basa su evidenze, non su dichiarazioni, e consegna rilievi classificati e un piano di rimedio.

Il termine viene usato per cose molto diverse, dalla scansione automatica alla verifica di un organismo di certificazione. Qui trovi la panoramica: cosa vuol dire audit in senso stretto, in cosa differisce da assessment e test tecnici, cosa controlla, quando è richiesto e come si svolge.

Cosa vuol dire audit, in senso stretto

La definizione di riferimento è quella riportata nella norma che guida gli audit dei sistemi di gestione, la UNI EN ISO 19011:2018 (punto 3.1): un audit è un processo sistematico, indipendente e documentato con cui si raccolgono evidenze oggettive e le si valuta con obiettività, per stabilire in che misura i criteri dell'audit sono soddisfatti.

Tre parole fanno la differenza rispetto a un controllo qualsiasi:

• criteri: si verifica contro qualcosa di scritto e concordato, non contro l'opinione di chi verifica;
• evidenze: registrazioni, configurazioni, verbali, log, cioè fatti che un terzo può ricontrollare;
• indipendenza: chi verifica non è chi gestisce l'attività verificata.

Il D.Lgs. 138/2024, che recepisce la NIS2 in Italia, usa la stessa impostazione. All'art. 2, lett. nnn), definisce l'audit come attività di verifica, a distanza o in loco, sistematica, documentata e indipendente, il cui scopo è vagliare la corrispondenza agli obblighi del capo IV del decreto, svolta da un organismo indipendente qualificato o dall'Autorità nazionale competente NIS.

Audit, assessment, test: la differenza che conta

Nel linguaggio commerciale audit, assessment e verifica si scambiano di posto. Nel merito rispondono a domande diverse, ed è utile sapere quale si sta comprando.

L'assessment misura, l'audit giudica la conformità

Un security assessment valuta la postura di sicurezza e indica dove si è esposti, anche senza un criterio formale di riferimento. Un audit verifica la conformità a criteri dati e produce rilievi che qualcuno deve chiudere. Un assessment può dire che la gestione degli accessi è debole; un audit dice quale requisito non è soddisfatto, con quale evidenza, e chi deve rimediare.

I test tecnici producono evidenze, non sostituiscono l'audit

Il vulnerability assessment elenca in ampiezza le vulnerabilità note; il penetration test le sfrutta in profondità per dimostrarne l'impatto. Le differenze fra i due sono in penetration test vs vulnerability assessment. Dentro un audit questi test sono una fonte di evidenze: dicono se un controllo funziona davvero sul piano tecnico. Non dicono però se esistono i processi, i ruoli e le registrazioni che il criterio chiede.

La gap analysis viene prima

Una gap analysis misura la distanza da una norma prima di impegnarsi in un percorso, e non ha valore formale. Il metodo è in gap analysis ISO 27001 e, per gli obblighi del decreto, in gap analysis NIS2. L'audit presuppone invece che il sistema sia già in esercizio, e verifica che funzioni.

Cosa controlla un audit di sicurezza

Il perimetro dipende dai criteri scelti, ma le aree ricorrono quasi sempre. Un riferimento utile è l'elenco minimo delle misure dell'art. 24, comma 2, del D.Lgs. 138/2024, che copre buona parte di ciò che un audit guarda anche fuori dalla NIS2:

• analisi dei rischi: le politiche di analisi dei rischi e di sicurezza dei sistemi informativi e di rete;
• gestione degli incidenti, comprese le procedure e gli strumenti per le notifiche;
• continuità operativa: backup, ripristino in caso di disastro ove applicabile, gestione delle crisi;
• catena di approvvigionamento: la sicurezza nei rapporti con i diretti fornitori e fornitori di servizi;
• acquisizione, sviluppo e manutenzione dei sistemi, compresa la gestione e la divulgazione delle vulnerabilità;
• valutazione dell'efficacia delle misure, che è la lettera f) e il punto in cui l'audit stesso rientra;
• igiene di base e formazione;
• crittografia e, ove opportuno, cifratura;
• personale, controllo degli accessi e gestione degli asset;
• autenticazione a più fattori o continua, comunicazioni protette e sistemi di comunicazione di emergenza, ove opportuno.

Per ogni area l'auditor cerca la stessa cosa: che la regola esista, che sia applicata e che lo si possa dimostrare. Una politica sugli accessi approvata è un documento; l'ultima revisione delle utenze, con data ed esito, è un'evidenza.

I tipi di audit di sicurezza

Per chi lo conduce

La ISO 19011 distingue fra audit interni, detti anche di prima parte, condotti dall'organizzazione stessa o per suo conto, e audit esterni. Fra gli esterni ci sono quelli di seconda parte, condotti da chi ha un interesse nell'organizzazione, come un cliente, e quelli di terza parte, condotti da organizzazioni indipendenti come gli organismi di certificazione o le autorità.

Per un'azienda mid-market la differenza è concreta: l'audit interno lo pianifichi tu, quello di un cliente arriva con il suo questionario e il suo calendario, quello di terza parte decide un certificato o un esito di vigilanza.

Per criterio

• ISO/IEC 27001: l'audit interno è un requisito della norma (clausola 9.2), l'audit di certificazione lo svolge un organismo accreditato. La struttura della norma è nella guida completa alla ISO 27001.
• NIS2: gli obblighi del capo IV del D.Lgs. 138/2024, con le misure dell'art. 24.
• DORA, per le entità finanziarie: il quadro per la gestione dei rischi informatici.
• GDPR: le misure tecniche e organizzative dell'art. 32.
• Requisiti contrattuali di un cliente o di un gruppo, e policy interne.

Per ampiezza

Un audit può coprire l'intero sistema di gestione o essere mirato: un processo, un sito, un fornitore, una tecnologia come l'identità o il cloud. Un audit mirato dopo un incidente risponde a una domanda precisa, cioè quale controllo non ha funzionato e perché.

Quando è richiesto

Più che un obbligo unico, ci sono diversi testi che chiedono di verificare l'efficacia delle misure di sicurezza, ciascuno con il suo linguaggio.

NIS2 (D.Lgs. 138/2024)

• Fra le misure obbligatorie per soggetti essenziali e importanti ci sono le politiche e procedure per valutare l'efficacia delle misure di gestione dei rischi (art. 24, comma 2, lett. f).
• Nell'attività di monitoraggio, l'ACN può richiedere ai soggetti l'esecuzione, periodica o mirata, di audit sulla sicurezza, in particolare in caso di incidente significativo o di violazione del decreto (art. 35, comma 3, lett. b).
• Nell'esercizio dei poteri di esecuzione può chiedere i risultati di audit e i relativi elementi di prova (art. 37, comma 2) e può intimare di eseguire audit periodici o mirati (art. 37, comma 3, lett. a). Ai soggetti importanti non può prescrivere audit periodici.
• Gli audit periodici e mirati e le scansioni di sicurezza sono svolti da organismi indipendenti, si basano su valutazioni del rischio, e i costi sono a carico del soggetto sottoposto ad audit, salvo casi giustificati (art. 34, comma 7).

Le verifiche e ispezioni dell'ACN (art. 36) sono un'altra cosa: le conduce l'autorità, e sui soggetti importanti si applicano solo se emergono elementi che suggeriscono possibili violazioni.

DORA

Per le entità finanziarie diverse dalle microimprese, il quadro per la gestione dei rischi informatici è sottoposto periodicamente ad audit interni, svolti da addetti con competenze adeguate in materia di rischi informatici e con un'adeguata indipendenza; frequenza e oggetto sono commisurati ai rischi (Regolamento (UE) 2022/2554, art. 6, par. 6). Sulle conclusioni va istituito un procedimento formale di seguito, con verifica tempestiva delle risultanze critiche (art. 6, par. 7).

GDPR

Fra le misure di sicurezza adeguate l'art. 32, par. 1, lett. d) del Regolamento (UE) 2016/679 indica una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative. Cosa chiede l'articolo nel suo insieme è in art. 32 GDPR.

ISO/IEC 27001 e clienti

Chi è certificato o punta alla certificazione ha l'audit interno come requisito del sistema e l'audit dell'organismo come passaggio del certificato. A questi si aggiungono gli audit di seconda parte, che entrano in gioco quando un cliente soggetto a NIS2 o DORA valuta la sicurezza dei propri fornitori.

Come si svolge

1. Obiettivo e criteri. Cosa si vuole sapere e contro quale riferimento: una clausola, un articolo, un contratto. Senza criteri scritti non è un audit, è un parere.
2. Perimetro. Sedi, processi, sistemi, fornitori e periodo coperti. Quello che resta fuori va scritto.
3. Pianificazione. Chi si intervista, quali documenti servono, quali test tecnici si eseguono, chi deve autorizzarli.
4. Raccolta delle evidenze. Analisi documentale, interviste con chi opera i processi, osservazione diretta, campionamento di registrazioni, verifiche tecniche sulle configurazioni.
5. Valutazione. Ogni evidenza si confronta con il criterio: conforme, non conforme, oppure un'osservazione che segnala un rischio senza violare il requisito.
6. Rapporto e chiusura. I rilievi si presentano a chi deve decidere, con il grado di gravità e le evidenze a supporto.
7. Seguito. Azioni correttive con responsabili e date, e una verifica successiva che le azioni abbiano chiuso il rilievo.

Cosa deve contenere il rapporto

• obiettivo, criteri e perimetro, compreso ciò che è stato escluso;
• il metodo: chi è stato intervistato, cosa è stato campionato, quali test sono stati eseguiti;
• i rilievi, ciascuno legato a un requisito e a un'evidenza precisa;
• la classificazione per gravità, che separa ciò che va chiuso subito da ciò che si pianifica;
• le raccomandazioni e, dopo il confronto con l'azienda, il piano di rimedio approvato;
• una sintesi per la direzione, che decide priorità e risorse del piano.

Un rapporto che elenca problemi senza collegarli a un criterio e a un'evidenza non regge alla prima domanda di un organismo, di un cliente o di un'autorità: dove sta scritto che doveva essere così?

Gli errori più comuni

• Comprare una scansione chiamandola audit. È un'evidenza tecnica utile, ma copre una parte sola del perimetro.
• Criteri non dichiarati. Se nessuno ha scritto contro cosa si verifica, l'esito non è confrontabile con l'audit successivo.
• Auditor non indipendente. Chi verifica il lavoro che ha fatto lui stesso produce un esito che nessun terzo prende per buono.
• Documenti al posto delle evidenze. Una procedura approvata non dimostra che venga applicata.
• Nessun seguito. I rilievi senza responsabile e senza data tornano identici al giro dopo, e chi verifica la volta successiva lo vede subito.

In sintesi

Un audit di sicurezza informatica vale quanto i criteri contro cui è fatto, l'indipendenza di chi lo conduce e le evidenze che raccoglie. VA, pen test e gap analysis sono pezzi utili dello stesso lavoro, ma rispondono ad altre domande. NIS2, DORA, GDPR e ISO 27001 chiedono, con parole diverse, la stessa cosa: dimostrare che le misure dichiarate funzionano, e sistemare quelle che non funzionano.

Se devi prepararti a un audit ISO 27001 o vuoi un sistema di gestione che regga alla verifica, guarda come lavoriamo con le aziende mid-market sulla ISO 27001.